La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de un millón de euros a la Liga Nacional de Fútbol Profesional (LNFP) como consecuencia del uso de sistemas de biometría en los accesos a los campos de fútbol.
La multa es el resultado de varias denuncias presentadas en 2022 y 2023 contra el uso de sistemas de reconocimiento facial y de huella dactilar para acceder a las gradas de animación de los estadios de Primera y Segunda División.
Confilegal explica que los abonados de dichas zonas, que suelen ser ocupadas por los seguidores más ‘ultras’, debían proporcionar un dato de biometría, como su huella dactilar o el reconocimiento facial, en el momento de la compra del abono.
Este dato se almacenaba y se utilizaba en el acceso a los estadios, cuando se verificaba la identidad del aficionado comparando su rostro o huella dactilar con la información almacenada en el sistema. Y si el sistema no podía confirmar la identidad, se denegaba el acceso.
Asimismo, los abonos eran personales e intransferibles, de modo que no podían ser cedidos a terceros. Para hacer efectiva esta medida, los abonados debían mostrar su DNI o un documento acreditativo si así lo requería el personal de seguridad del estadio o las fuerzas de seguridad.
Uso injustificado de sistemas de biometría
La AEPD entiende que el tratamiento de estos datos de biometría, considerados “de categoría especial”, ya que identifican de manera univoca a los abonados de dichas gradas, plantea varias irregularidades desde la óptica de la protección de datos.
La resolución de la AEPD reseña que el uso de estos datos biométricos carecía de una base de legitimación adecuada. Por un lado, recuerda “para el tratamiento de dichos datos, debe en primer lugar efectuarse un análisis de si las finalidades propuestas son susceptibles de obtenerse sin el tratamiento de datos personales biométricos, a través de una valoración de la idoneidad, necesidad y proporcionalidad de las operaciones de tratamiento en relación con su finalidad”.
Sin embargo, la AEPD estima que La Liga no realizó un análisis previo del impacto en los derechos y libertades de los aficionados, que exige esta evaluación cuando se tratan datos biométricos a gran escala, la llamada Evaluación de Impacto en Protección de Datos (EIPD), de la que hablábamos aquí.
Aunque La Liga argumentó que el sistema se basaba en el consentimiento de los aficionados, la AEPD considera que dicho consentimiento no era libre, ya que la única alternativa posible es no acceder a las gradas de animación. Es decir, o los seguidores otorgaban el consentimiento, o se quedaban fuera.
Además, por si fuera poco, la resolución señala concluye que la LNFP no adoptó suficientes medidas para minimizar los riesgos asociados al tratamiento de datos de biometría, algo que incrementa la posibilidad de usos indebidos o accesos no autorizados a esta información.
En su respuesta, la institución presidida por Javier Tebas alegó que el uso de la biometría está respaldado por la Comisión Estatal contra la Violencia, el Racismo, la Xenofobia y la Intolerancia en el Deporte (CEVRXID) y que el procedimiento contaba con el aval del Consejo Superior de Deportes (CSD). Pero la respuesta de la AEPD es que esto no exime La Liga de su responsabilidad en el tratamiento de datos personales.
Asimismo, la Agencia destaca que el control impuesto por la LNFP es desproporcionado, puesto que la identificación mediante DNI y abonos nominales podía haber sido suficiente, sin necesidad de recurrir a la recopilación de datos biométricos.
Como consecuencia de todo ello, la AEPD ha decidido imponer a La Liga una sanción de un millón de euros. Adicionalmente, ordena suspender temporal o definitivamente el uso del reconocimiento biométrico para el acceso a las gradas de animación hasta que se garantice el cumplimiento del RGPD.
Igualmente, exige que La Liga realice y supere una EIPD que determine la necesidad, idoneidad y proporcionalidad de este sistema, analice los riesgos para los derechos y libertades de los aficionados y asegure la existencia de medidas técnicas y organizativas adecuadas para su implementación.
¿Puedes usar biometría para el acceso de clientes y empleados?
En EMPRENDEDORES ya hemos informado de algunas sanciones impuestas por el uso de sistemas de biometría para fichar en el trabajo. Por ejemplo, la AEPD puso una multa de 365.000 euros a una empresa que pedía la huella dactilar a sus trabajadores para el registro de la jornada laboral, como contábamos en este artículo.
También nos hemos hecho eco de otra sanción de 220.000 euros por obligar a fichar mediante un sistema de reconocimiento facial.
Y tampoco parece una buena idea imponer la biometría a la hora de facilitar el acceso a los clientes. La AEPD ya impuso una multa de 27.000 euros al gimnasio Metropolitan, en la ciudad de Santander, como informaba Facua.
En aquel caso, una usuaria denunció al gimnasio porque comenzó a exigir la huella dactilar para entrar, pese a que ya empleaba un sistema de acceso mediante pulsera y tarjeta identificativa.
